Общий способ позволить пользователям добавлять в свои профили iframe?

Question

В моем веб-приложении я хочу разрешить пользователям добавлять эти типы контента в свои профили:

Виджеты Soundcloud, видео на YouTube и другие подобные фреймы

Я слышал, что пользователи могли добавлять htmlТип содержимого может быть опасным.

Какие меры я должен предпринять, чтобы я был в безопасности?

Мой стек приложений:

Node.js - express.js - pug- mongodb

Спасибо!

Answer 1

Вам нужно получить только URL / SRC от пользователя.Например,

Ввод пользователя: https://www.youtube.com/embed/xxxyyyzzz

Экспресс:

app.get('/profile', (req, res) => {

    ...

    console.log(youtube); // https://www.youtube.com/embed/xxxyyyzzz
    res.render("profile", { video: youtube });
})

Просмотр (Pug):

iframe(width='420', height='315', src=video)

Визуализация (HTML):

<iframe width="420" height="315" src="https://www.youtube.com/embed/xxxyyyzzz"></iframe>